HPE AOS-10: Nicht authentifizierte Offenlegung von Informationen in der Kommandozeile

Zusammenfassung

Eine Schwachstelle zur Offenlegung sensibler Informationen in der Kommandozeile (CLI) von HPE ArubaOS 10 (AOS-10) Wireless-Controllern, Gateways und Access Points erlaubt einem nicht authentifizierten Angreifer den Zugriff auf sensible Informationen. Der Angreifer kann die abgerufenen Daten nutzen, um weiteren Zugriff auf Netzwerkdienste zu erlangen, die von AOS-10 unterstützt werden. Der offizielle CVE-Eintrag nennt den Vektor benachbartes Netzwerk (AV:A), während der HPE-Text von "remote" spricht; der Angriffsweg muss deshalb bei HPE bestätigt werden. Da keine Authentifizierung nötig ist, ist die Erreichbarkeit der Management-Schnittstellen das Hauptrisiko.

Betroffen

• AOS-10 10.8.0.0 bis 10.8.1.1
• AOS-10 10.7.0.0 bis 10.7.2.6
• AOS-10 10.4.0.0 bis 10.4.1.13
• Weitere Berichte nennen auch die Versionsreihen 10.3.x und 10.6.x; nicht verifiziert, Hinweis im HPE-Advisory prüfen.

Behoben in

• AOS-10 10.8.1.2 oder neuer
• AOS-10 10.7.2.7 oder neuer
• AOS-10 10.4.1.14 oder neuer
• Korrigierte Version für die Versionsreihen 10.3.x und 10.6.x: Unbekannt.

Umgehung

• Den Zugriff auf die CLI und die webbasierte Management-Schnittstelle auf ein dediziertes Management-VLAN oder auf per Firewall eingeschränkte Hosts beschränken.
• Die Management-Schnittstellen nicht aus dem Internet erreichbar machen.
• Den Patch so rasch wie möglich einspielen; die Einschränkung ist nur eine vorübergehende Massnahme.

Ausnutzung

• Gemäss Sekundärberichten ist im Advisory-Veröffentlichungszeitpunkt keine Ausnutzung in freier Wildbahn bekannt; laut Sekundärberichten nicht im CISA-KEV-Katalog Stand 2026.10.23 gelistet.
• Zum Veröffentlichungszeitpunkt ist kein öffentlicher Proof of Concept oder Exploit-Code bekannt.
• Der Status kann sich rasch ändern.

Unsere Empfehlung

• Alle AOS-10-Geräte und deren genaue Build-Version inventarisieren.
• Auf 10.8.1.2, 10.7.2.7 oder 10.4.1.14 aktualisieren, je nach Versionsreihe.
• Den Upgrade-Pfad für Geräte mit 10.3.x und 10.6.x im HPE-Advisory oder mit dem HPE-Support bestätigen.
• Den Zugriff auf CLI und Web-Management jetzt, vor dem Patchen, einschränken.
• Angriffsvektor und Korrekturdetails im HPE-Advisory prüfen und den CISA-KEV-Katalog überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• HPE Security Bulletin HPESBNW05162 support.hpe.com
• VulDB CVE-2026-79871 vuldb.com
• CyberExperts: Aruba AOS wireless patches cyberexperts.com
• Rescana: HPE Aruba AOS critical October 2026 www.rescana.com
• Cybaverse: HPE Aruba AOS critical flaws www.cybaverse.co.uk
• Adyog: HPE Aruba AOS eight max severity flaws pulse.adyog.com
• GBHackers: Critical HPE Aruba AOS 8 flaw gbhackers.com
• Brandefense: CVE-2026-79844 brandefense.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:13.